Les détails des cyberattaques contre les petites et moyennes entreprises (PME) ne font peut-être pas la une des journaux, mais de nombreux rapports et enquêtes du secteur ont mis en évidence la triste réalité du paysage de la cybersécurité des PME. Même avant la pandémie de COVID-19, les PME étaient largement ciblées par les attaquants.Selon une enquête USTelecom 2021 sur la cybersécurité, 45% des PME qui possèdent, exploitent ou soutiennent diverses infrastructures critiques des États-Unis, notamment l’approvisionnement en énergie et en eau, ont subi une violation au cours de l’année écoulée. Le rapport a également révélé que les PME qui ont été touchées par une cyberattaque ont mis plus de sept mois à se rétablir complètement et ont dû dépenser plus de 170 000 dollars en moyenne pour se remettre sur pied.
Dans ce blog, nous allons expliquer pourquoi les PME sont de plus en plus ciblées par les acteurs de la menace.
Les PME pensent qu’elles sont trop petites pour attirer l’attention des cybercriminels.
Selon une récente enquête de Malwarebytes3, 32% des PME en activité depuis plus de dix ans pensent qu’elles ne seront pas visées par des cyberattaques. La même enquête a également révélé que les jeunes PME sont plus ignorantes de la possibilité d’une violation. Des adversaires ont mis la main sur les données de Target en compromettant le serveur d’une passerelle d’un de ses fournisseurs tiers à l’aide d’un identifiant volé. La violation de cette PME a entraîné une attaque à grande échelle.
En 2019, un petit cabinet médical basé en Californie a décidé de fermer ses portes car il n’avait pas les moyens de reconstruire les dossiers médicaux des patients qu’il avait perdus suite à une attaque par ransomware.
Les cyberattaques anciennes et récentes montrent que les acteurs de la menace ne font pas de discrimination en fonction de la taille d’une organisation.
Les PME adoptent rapidement des services et des applications en cloud
L’augmentation soudaine du travail à distance causée par la pandémie COVID-19 a entraîné une augmentation parallèle de l’adoption des services en cloud par les PME, 86 % d’entre elles déclarant que l’utilisation et l’adoption du cloud ont augmenté à la suite de la pandémie. Bien que le cloud ait été un sauveur en ce qui concerne la continuité des activités pour les PME, une adoption hâtive, une mauvaise hygiène de sécurité et une mauvaise configuration de l’environnement cloud ont entraîné de graves failles de sécurité et invité les attaquants à compromettre le réseau et les données. Il est désormais plus difficile qu’auparavant pour les PME de s’assurer que seules les bonnes personnes ont accès aux bonnes ressources.
Prenez par exemple les applications SaaS (Software as a Service). Selon une étude récente, les PME de plus de 250 employés utilisent près de 100 applications SaaS différentes, tandis que celles de moins de 50 employés utilisent 25 à 50 applications différentes. Sans la mise en place de pratiques efficaces en matière de mots de passe, ces applications peuvent devenir des points d’entrée pour les attaquants. Il est certainement difficile pour une personne de se souvenir de mots de passe “forts” pour chaque application qu’elle utilise ; elle peut plutôt créer des mots de passe faciles à retenir et les enregistrer dans des endroits comme un carnet, son application de prise de notes préférée ou une fiche de calcul. Pire encore, certains peuvent réutiliser le même mot de passe pour chaque application. La compromission d’un compte résidant derrière un mot de passe faible est tout ce dont un attaquant a besoin pour s’introduire dans le réseau de l’organisation.
Manque de personnel spécialisé en sécurité
La pénurie de personnel et de ressources est un vieux problème qui continue d’affecter la cybersécurité des PME. Le personnel informatique d’une PME est susceptible de se trouver confronté à de multiples responsabilités. Une personne qui s’occupe des opérations informatiques telles que les sauvegardes peut également gérer les ordinateurs de bureau et les ordinateurs portables du personnel tout en assurant la cybersécurité. Lorsqu’elle doit passer la majeure partie de son temps à veiller à ce que le temps d’arrêt d’un système soit le plus court possible, il est difficile de se concentrer sur la sécurité.
Cependant, certaines organisations gouvernementales et certains groupes de réflexion comprennent que les PME ne peuvent pas aborder la cybersécurité de la même manière que leurs homologues des entreprises et ont créé des directives spécifiques aux PME.
Lors d’un récent webinaire, nous avons passé en revue quatre de ces directives, notamment celles créées par la Commission fédérale des communications des États-Unis, le Centre national de cybersécurité du Royaume-Uni et le Centre australien de cybersécurité. Nous avons décomposé les cyberattaques ciblant les PME, identifié les domaines communs sur lesquels les quatre directives demandent aux PME de se concentrer, et discuté des outils qui peuvent aider à mettre en œuvre les recommandations proposées.
Nos ressources en matière de cybersécurité pour les PME
Lisez notre guide sur les raisons pour lesquelles les PME doivent bien gérer leurs mots de passe en 2021.
Regardez notre webinaire, La cybersécurité pour les PME en 2021 : Ce que recommandent les cadres de sécurité axés sur les PME.
Source: 3 reasons SMBs are more vulnerable to cyberattacks than large enterprises
